包裹派遞騙局是一種冒充手法：訊息、來電或假追蹤頁面聲稱某個包裹需要緊急處理。所謂的速遞公司可能要你繳付小額費用、更正地址、預約派遞或登入帳戶，真正目的卻是竊取付款資料、登入憑證、個人資料或裝置存取權。

關鍵要點

透過零售商帳戶或你自行取得的速遞公司網址核實包裹。

逼真的標誌、追蹤編號、發送者名稱或 HTTPS 鎖頭，都不能證明訊息由誰發出。

不要經意外的派遞通知付款、登入、回電或安裝任何東西。

應對要與暴露程度相符：收到訊息、點擊連結、輸入資料和下載檔案是不同事件。

這是社交工程的一種具體形式。較全面的網絡安全完整指南說明了帳戶、裝置、網絡、資料和行為防護如何互相配合。

包裹派遞騙局通常怎樣運作？

騙局由一個可信的派遞問題開始：郵費未付、地址不完整、派遞失敗、需繳關稅，或包裹滯留在站點。訊息設下很短的期限，並附上方便的連結或電話號碼。這個組合會促使你在確認包裹是否存在之前就作出反應。

連結通常指向仿冒的速遞公司頁面。頁面可能先要你的姓名和地址，再要求繳付一筆不大的重新派遞費。FTC 警告，在這類頁面輸入的資料（包括卡號）會落入騙徒手中，而不是交給速遞公司。［1］

包裹題材之所以奏效，是因為很多人真的在等速遞，而發送者毋須知道你買了甚麼。一則籠統的訊息可能恰巧碰上真實訂單。應把這種巧合視為核實訂單的理由，而不是訊息真實的證據。

常見誘餌有哪些？

常見誘餌包括：

更正地址： 聲稱必須先確認街道地址，包裹才能派遞。
小額費用： 需繳付很少的郵費、關稅、倉存費或重新派遞費。
派遞失敗： 連結聲稱可改約一次從未發生的派遞。
物流更新： 訊息說包裹延誤、被退回或正等候指示。
帳戶警告： 要你登入零售商或速遞帳戶，以免訂單被取消。
惡意附件或 App： 把檔案、瀏覽器擴充功能或手機 App 包裝成追蹤工具。

短訊形式的這類騙局常被稱為包裹短訊釣魚。美國郵政檢查局把短訊釣魚描述為以收集個人或財務資料為目的的欺騙性短訊，並建議收件人不要使用主動傳來的包裹追蹤短訊中的陌生連結。［2］同樣的手法也可能經電郵、社交媒體、自動語音來電或即時通訊 App 出現。

怎樣獨立核實真實訂單？

使用獨立的訂單線索，而不是訊息提供的資料。

開啟零售商 App，或自行輸入其已知網址。
在購買紀錄中找到相關訂單。
如有追蹤編號，從該訂單複製。
獨立開啟速遞公司的官方網站或 App，在那裏輸入編號。
如訂單頁面與速遞公司的資料不一致，透過你已信任的號碼聯絡零售商或速遞公司。

FTC 特別建議到下單的零售商帳戶查看運送資料，而不是點擊派遞短訊。即使訊息盜用真實速遞公司的名稱，這個方法同樣適用：決定性的證據，是經另一途徑查到、互相吻合的訂單和追蹤紀錄。

不要使用可疑通知附帶的電話號碼、QR code、網上客服或搜尋廣告，這些途徑都由騙徒控制。如要搜尋速遞公司，避開贊助結果，並把域名與已知的帳單、應用程式商店頁面或過往真實的訂單電郵比對。

假速遞短訊有哪些警號？

訊號	為何重要	較安全的檢查
你沒有要求這個物流更新	主動傳來的聯絡缺乏與真實訂單的關聯	直接查看零售商帳戶
訊息要求數小時內處理	緊迫感令人放棄獨立核實	先停下，查看訂單的實際狀態
派遞前必須繳付小額費用	費用可能是騙取卡和身份資料的誘餌	經官方途徑向速遞公司查詢
域名拼錯、被縮短或很陌生	顯示名稱和頁面設計很容易抄襲	自行輸入速遞公司的已知網址
頁面索取帳戶密碼或一次性驗證碼	物流更新很少需要存取無關帳戶	關閉頁面，另行檢查相關帳戶
必須安裝 App、描述檔或其他檔案	追蹤通常在瀏覽器或現有 App 就能完成	不要安裝；如已安裝，檢查裝置

沒有哪個外觀細節能證明安全。精美的頁面也可能是騙局，HTTPS 鎖頭只表示與該域名的連線已加密，並不證明域名屬於速遞公司。

不同暴露程度應該怎樣處理？

先為事件分類，既可避免驚慌，也可避免延誤。

只收到訊息，沒有點擊

不要回覆，也不要使用其中的連結。如打算舉報，先保存發送者、時間和訊息內容，再標記為垃圾訊息並封鎖。獨立核實是否真有包裹。在支援的地區，可把可疑短訊轉寄到流動電訊商的舉報途徑；與 USPS 相關的短訊釣魚也可經郵政檢查程序舉報。

開啟連結，但沒有輸入資料

關閉頁面。不要下載任何東西，也不要授予通知、描述檔、擴充功能或 App 權限。更新瀏覽器和作業系統，檢查最近的下載，並撤銷誤授的任何權限。單單點擊一次，並不證明所有帳戶都已被入侵，但足以令你留意後續提示和裝置異常。

輸入了密碼或驗證碼

在可信裝置上進入真正的服務。更改已外洩的密碼，登出其他工作階段，移除陌生的復原方法和已連接應用程式，並啟用 MFA。如該密碼在別處也用過，就在所有重用的地方更改，先由主電郵和金融帳戶開始。點擊釣魚連結後應怎樣做一文更詳細地介紹帳戶和裝置檢查。

輸入了卡或銀行資料

立即使用卡上、結單或官方 App 上的號碼聯絡發卡機構或銀行。說明資料是在虛假的派遞頁面輸入的，查詢能否止付或撤回付款，並按指示更換或鎖定信用卡。FTC 的追討指引因付款方式而異，並強調要聯絡你用來付款的服務供應商。［3］

下載或安裝了檔案

如受影響裝置表現異常，或你曾授予廣泛存取權限，請中斷其網絡連線。移除不可信的 App、描述檔、擴充功能或檔案；更新保安軟件並進行完整掃描。從另一部可信裝置更改重要密碼。如該軟件曾取得管理員或遙距控制權限，請在保存好無法取代的個人檔案後，考慮尋求專業技術協助或徹底重設。

如何舉報並保存證據？

在 App 或電郵服務中舉報該訊息，經官方防詐騙途徑通知被冒充的速遞公司，並通知你所在地相關的消費者保障或網絡罪案機構。提供發送者、時間、訊息內容、目的域名、付款收據，以及你透露過哪些資料。不要為了收集更多證據而繼續互動。

如款項已轉出，第一通電話應打給銀行或支付服務供應商；提交詐騙報告並不會自動阻止交易。保留個案編號和往來通訊副本。提防日後有人自稱調查員或追討代理，要求你再付一筆錢。

總結

包裹派遞騙局利用看似可信的包裹問題，騙取金錢、憑證、個人資料或裝置存取權。
透過獨立取得的途徑，向零售商和速遞公司確認真實訂單。
緊迫感、小額費用、陌生域名、索取憑證和必須下載，都是強烈警號。
按實際情況應對：沒有互動、點擊、洩露憑證、洩露付款資料或安裝了檔案。
盡快聯絡金融機構，保留證據，並經官方途徑舉報。

若確實收到沒有對應訂單的包裹，可按刷單包裹檢查分清禮物、誤投及帳戶訂單，這與只收到假快遞短訊不同。

常見問題

騙徒真的知道我在等包裹嗎？

有時犯罪分子會利用外洩或購買的資料，但更多時候訊息是大量發出，只是碰巧遇上真實訂單。派遞時間吻合並不能證明真偽。請在零售商帳戶查看具體訂單。

所有陌生速遞短訊都是騙局嗎？

不是，但意外的訊息應視為未經核實。不要憑標誌或發送者名稱判斷。請透過零售商或速遞公司，獨立查到訂單和追蹤紀錄。

小額重派費可以支付嗎？

不要經主動傳來的訊息中的連結付款。小額費用可能只是令要求顯得無害，同時收集完整的卡、地址和身份資料。

追蹤編號看來真實怎麼辦？

騙徒可以複製、捏造或重用追蹤編號。只在獨立開啟的速遞公司官網輸入編號，並確認其路線和收件人情況與你的真實訂單相符。

HTTPS 鎖頭能證明是官網嗎？

不能。HTTPS 保護的是你與所開啟網站之間的連線，並不證明營運者就是速遞公司。請核實確切的域名，並經已知途徑進入。

應該回覆 STOP 嗎？

除非你確定對方是你主動訂閱的正當發送者，否則不要回覆。回覆詐騙短訊可能等於確認你的號碼有效。請改用短訊 App 的垃圾訊息舉報和封鎖功能。

點一下連結便一定會中毒嗎？

點擊不代表必然安裝了惡意軟件，但頁面可能嘗試下載檔案或要求危險權限。關閉頁面，檢查下載和權限，更新裝置，並調查任何異常行為。

VPN 能阻止包裹騙局嗎？

不能。這種騙局主要靠冒充和你對訊息的反應。VPN 無法核實速遞公司，無法阻止你在逼真的假頁面輸入資料，也無法撤回付款或取回被盜的憑證。

免責聲明：本文提供一般網絡安全和消費者資訊，不構成法律、金融、身份盜竊或專業事故應變建議；具體情況請聯絡相關供應商或主管機構。

來源

Federal Trade Commission — Think that text message is from USPS? It could be a scam — https://consumer.ftc.gov/consumer-alerts/2025/04/think-text-message-usps-it-could-be-scam
United States Postal Inspection Service — Smishing: Package Tracking Text Scams — https://www.uspis.gov/news/scam-article/smishing-package-tracking-text-scams
Federal Trade Commission — What To Do if You Were Scammed — https://consumer.ftc.gov/articles/what-do-if-you-were-scammed

Sources checked 2026 年 8 月 28 日。

延伸閱讀：

甚麼是包裹派遞騙局？獨立核實訂單並按資料暴露程度處理